SDCMS后台绕过直接进入漏洞

admin

要描述：
8 Z6 L% G* I5 y! r3 g  U
9 @  G+ i* r# b& W- p) P+ YSDCMS后台绕过直接进入：测试版本2.0 beta2 其他版本未测试
% s  W! P. H6 z8 j详细说明：
Islogin //判断登录的方法
" e  ]8 r+ K6 t$ P
sub islogin()
9 k; L3 s2 L# M5 b: K8 U" ~
if sdcms.strlen(adminid)=0 or sdcms.strlen(adminname)=0 then
1 o$ P- \+ {. C* }- f6 T/ y
dim t0,t1,t2
- ^6 }7 \1 t7 x, S
8 R& A$ y% p- v6 yt0=sdcms.getint(sdcms.loadcookie("adminid"),0) loadcookie

( u+ Y  }: k0 \- z5 G4 gt1=sdcms.loadcookie("islogin")
, p/ B; B( y6 l/ h$ u# ]$ A/ S9 f3 [
t2=sdcms.loadcookie("loginkey")
; [/ U. P) ]% B5 p4 w2 o+ {7 ?8 ?
if sdcms.strlen(t0)=0 or sdcms.strlen(t1)=0 or sdcms.strlen(t2)<>50 then //这里判断很坑爹 sdcms.strlen(t2)<>50 loginkey 没有任何要求 只需要输入50个即可往下执行
8 z1 ~' n# X% v' O8 s/ U
//
9 C1 Q3 x7 }6 B
$ G+ N5 p7 V$ Y2 O+ P/ c" Rsdcms.go "login.asp?act=out"
  ?3 d9 B8 s& I6 J/ u/ |. L, d! K% I
# h0 F3 R  T; `6 M8 l9 ^9 c0 [exit sub
- P+ M3 M! r  [
else

: E5 j& v5 M4 q. Z, u  Ydim data

data=sdcms.db.dbload(1,"adminid,adminname,adminpass,islock,groupid,g.pagelever,g.catearray,g.catelever","sd_admin u left join sd_admin_group g on u.groupid=g.id","adminid="&t0&"","") //根据管理员ID查询 ID可控
" E  a6 l' A4 r# a, |& d7 ^- U/ t
if ubound(data)<0 then

4 i# W7 _; `/ Z, }sdcms.go "login.asp?act=out"
  R# d1 A6 w2 o8 x; v9 b
! G$ p$ N: ~0 G; W4 Z/ [% {& q* Texit sub
4 w" {3 K  w# o: T/ ~9 q' H0 M1 P0 H
% X- P: j7 o3 o+ helse

if instr(data(1,0)&data(2,0),sdcms.decrypt(t1,t2))<0 or data(3,0)=0 then

9 Q6 B4 c; m! ssdcms.go "login.asp?act=out"

exit sub

else
5 l) x  [7 j' I0 C/ z; a
adminid=data(0,0)

! r4 I* s: K' d8 o, h8 {adminname=data(1,0)
6 M3 B9 k) o/ n# q" c4 O9 X/ ?
admin_page_lever=data(5,0)
' I! B9 Z. t- H. ^; n- M- ]
/ F1 f) r8 W: B: P# a. fadmin_cate_array=data(6,0)

/ e. U& |4 ]  T4 a  o, O  {3 Jadmin_cate_lever=data(7,0)

" p9 |( U2 N4 Lif sdcms.strlen(admin_page_lever)=0 then admin_page_lever=0

2 E  R7 w! `1 ^0 c9 v& o# y) ]if sdcms.strlen(admin_cate_array)=0 then admin_cate_array=0

7 r0 Z- Z6 Y* `0 `  uif sdcms.strlen(admin_cate_lever)=0 then admin_cate_lever=0

if clng(admingroupid)<>0 then

admin_lever_where=" and menuid in("&admin_page_lever&")"
4 n' G% M9 B3 A" X& L, w
end if

sdcms.setsession "adminid",adminid

  ?. x1 x$ r7 l0 Nsdcms.setsession "adminname",adminname
$ J! M/ _( U7 N; V
sdcms.setsession "admingroupid",data(4,0)

end if

0 k1 `/ W  w' M% _* k: K: hend if

end if
& e2 u' h9 @+ N  F
" c5 j8 t$ ~; ?" z3 d* x- h6 \$ relse
0 b" e# W( r2 h( |- j  a
6 U# o  V$ p3 Ddata=sdcms.db.dbload(1,"g.pagelever,g.catearray,g.catelever","sd_admin u left join sd_admin_group g on u.groupid=g.id","adminid="&adminid&"","")

if ubound(data)<0 then
& }  _, ~( U; }- u$ U* t/ o0 M
! ^; g/ j$ `0 n, _& Ysdcms.go "login.asp?act=out"

3 z7 G) p* I3 D/ V+ o$ vexit sub
/ G% y4 Q; t$ q: t' K
, i7 h/ W) i0 f- u9 p- g' y/ Celse
8 W7 M1 F" `2 w. Q; |
admin_page_lever=data(0,0)

admin_cate_array=data(1,0)
! p5 U2 d# {/ g; I) a$ p, ]
: q  [- z$ V2 s, I) l2 Q& xadmin_cate_lever=data(2,0)

if sdcms.strlen(admin_page_lever)=0 then admin_page_lever=0
7 V5 n+ x' S; K- g  z. G% \$ ~, L: Q
if sdcms.strlen(admin_cate_array)=0 then admin_cate_array=0
1 R7 o# [' J5 i% i- R1 q
2 `( a, B) Z3 P0 V2 x5 sif sdcms.strlen(admin_cate_lever)=0 then admin_cate_lever=0
% g, |# `9 q' z) }* y! I
if clng(admingroupid)<>0 then
8 v% ]0 Q4 N  {! N3 x" W1 T* g# O
2 X/ g+ E/ h* Q  ~admin_lever_where=" and menuid in("&admin_page_lever&")"
% X" B" F% q" c  O0 `
5 r" u/ c+ Q3 e( Eend if

end if
6 v' K0 X7 V+ \, m, y- J! ?: t
end if

  S; `3 Z) {* t$ V2 I& F  yend sub
漏洞证明：
4 S, I  V% j3 f6 `1 y看看操作COOKIE的函数
8 C: [. m0 q; R/ `" o0 W1 w7 d
public function loadcookie(t0)
+ O; V: h" Y5 h# g8 `
1 E; P! z/ T: ?+ O) Lloadcookie=request.cookies(prefix&t0)
" z: k) p3 ^3 h9 p5 L
3 L* m( _. o$ B3 }end function

public sub setcookie(byval t0,byval t1)

response.cookies(prefix&t0)=t1
3 J  q5 |; @: I7 l; W# Q4 C: _
end sub

prefix

" b2 T2 E4 o3 y7 D! j/ r& }'变量前缀，如一个空间下多次使用本程序的话，请每个程序配置不同的值

dim prefix
2 ]! U! L6 ^3 W  B6 L* T# _) t) P
2 u! v0 V6 q% ]; k5 a. y' }prefix="1Jb8Ob"
# B' u, N2 j! T" M6 K: a) P
; ~- ]) V3 ]& d/ \0 D6 V1 m'这个值访问一下admin/login.asp?act=out 便可得到 在COOKIE里

sub out
$ v" Z9 r5 d, B
" c+ l6 d! b3 L+ tsdcms.setsession "adminid",""
. s( @5 D1 n! L5 L! L* U/ J1 r
) M; E  [- E- qsdcms.setsession "adminname",""
$ A' M! q0 Y, B; H) {/ |7 t
sdcms.setsession "admingroupid",""
2 q; w3 v5 ~! W, y# [! ?
3 q3 o% f( k9 @- Csdcms.setcookie "adminid",""
2 g  c( v5 E* L+ |* Y$ c9 Z
, l+ C  B3 j0 x0 P: K' Osdcms.setcookie "loginkey",""
' F- b; @4 h8 _
sdcms.setcookie "islogin",""
: [3 c* q) z% G& Z
sdcms.go "login.asp"

end sub

+ z( `; ~2 w  q) _0 B$ q
利用方法：设置cookie prefixloginkey 50个字符 prefixislogin 随意 循环下prefixadminid 即可 默认1 然后访问后台，就可以了！
6 \3 o" ]2 d# l$ X修复方案：
修改函数！